Stand: 01.09.2026
Aktuell werden erneut täuschend echt gestaltete Briefe im Namen der Deutschen Apotheker- und Ärztebank – apoBank – verschickt. Die Schreiben behaupten, eine „Verifizierung Ihrer digitalen Bankzugänge“ sei noch nicht abgeschlossen. Wer den enthaltenen QR-Code nicht verwende, müsse angeblich mit einer vollständigen Deaktivierung von apoBank-App, Online-Banking und apoTAN rechnen.
Das Schreiben ist gefälscht.
Die apoBank warnt ausdrücklich vor dieser Betrugsmasche. In ihrem Sicherheitshinweis vom 14.08.2026 beschreibt sie postalische Phishing-Schreiben mit einer angeblich noch ausstehenden „Verifizierung“, einer Drohung mit der Deaktivierung der digitalen Zugänge und einem QR-Code, der auf eine gefälschte Internetseite führt. Dort sollen Zugangsdaten zum Online-Banking und weitere persönliche Informationen abgegriffen werden.
Sicherheitshinweise der apoBank
Der uns vorliegende apoBank-Brief ist Phishing
SH Rechtsanwälte liegt ein entsprechendes Schreiben zur Prüfung vor. Darin heißt es unter anderem, trotz mehrfacher Hinweise sei die erforderliche Verifizierung der digitalen Bankzugänge noch nicht erfolgt. Ohne diese werde der Zugang zur apoBank-App, zum Online-Banking und zur apoTAN-Anwendung „vollständig deaktiviert“.
Die vermeintliche Lösung befindet sich unten rechts auf dem Schreiben: ein QR-Code mit der Aufforderung „Hier scannen“. Bei dem von uns geprüften Exemplar führt der QR-Code nicht auf eine Domain der apoBank, sondern auf:
datenschutzsicherheit[.]click/WL62
Die Adresse sollte nicht aufgerufen werden. Die apoBank selbst nennt gerade die Kombination aus QR-Code, angeblicher „Verifizierung“, Zeitdruck und angedrohter Sperrung der digitalen Zugänge als Kennzeichen der aktuellen Fälschungen.
Enthält der QR-Code Schadsoftware?
Technisch sollte sauber unterschieden werden: Der QR-Code des uns vorliegenden Schreibens enthält zunächst keinen ausführbaren Schadcode, sondern lediglich eine Internetadresse. Ein QR-Code ist insoweit nur ein maschinenlesbarer Verweis.
Damit ist nicht gesagt, dass die Zielseite ungefährlich wäre. Eine solche Seite kann Zugangsdaten abfragen, weitere Weiterleitungen auslösen oder nachträglich verändert werden. Für die Behauptung, dass die konkrete Zielseite einen bestimmten Trojaner installiert oder einen bestimmten Browser-Exploit ausnutzt, liegt uns derzeit jedoch kein belastbarer Nachweis vor.
Die von der apoBank beschriebene Funktion der aktuellen Kampagne ist zunächst klassisches Credential-Phishing beziehungsweise „Quishing“: Bankkunden sollen auf eine nachgebildete Internetseite geführt und dort zur Preisgabe von Online-Banking-Daten und weiteren persönlichen Informationen bewegt werden.
Für die spätere bankrechtliche Auseinandersetzung kann der konkrete technische Ablauf entscheidend sein. Maßgeblich ist nicht das Schlagwort „Phishing“, sondern welche Daten erlangt wurden, welche Freigaben erfolgten und welche Zahlungsvorgänge anschließend ausgelöst wurden.
Ausgangspunkt bei Kontoschäden: § 675u BGB
Wurden anschließend Überweisungen oder andere Zahlungsvorgänge ausgeführt, stellt sich zunächst die Frage, ob der Kunde diese Zahlungen autorisiert hat. Nach § 675j Abs. 1 BGB ist ein Zahlungsvorgang gegenüber dem Zahler nur wirksam, wenn dieser ihm zugestimmt hat.
Fehlt die Autorisierung, verpflichtet § 675u BGB den Zahlungsdienstleister grundsätzlich dazu, den Zahlungsbetrag unverzüglich zu erstatten und das Konto auf den Stand zurückzuführen, auf dem es sich ohne die Belastung befunden hätte.
Entscheidend ist dabei: Die technische Verwendung einer TAN oder einer Banking-App ist nicht automatisch mit der rechtsgeschäftlichen Autorisierung der konkreten Zahlung gleichzusetzen.
BGH: Phishing-Erstattung ist kein Automatismus
Der Bundesgerichtshof hat mit Urteil vom 22.07.2025 – XI ZR 107/24 – die Haftungsverteilung bei einem Social-Engineering-Angriff konkretisiert. In dem entschiedenen Fall hatte die Kundin TANs an eine vermeintliche Bankmitarbeiterin weitergegeben. Die Zahlung war zwar nicht autorisiert; der BGH bestätigte im konkreten Fall jedoch einen Gegenanspruch der Bank wegen grob fahrlässiger Pflichtverletzung.
Daraus folgt eine wichtige Trennung:
- War die konkrete Zahlung autorisiert?
- Wenn nein: Kann die Bank einen Schadensersatzanspruch nach § 675v Abs. 3 BGB wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung beweisen?
BGH, Urteil vom 22.07.2025 – XI ZR 107/24
§ 675w BGB: Authentifizierung ist nicht gleich Autorisierung
Bestreitet der Kunde die Autorisierung, muss der Zahlungsdienstleister nach § 675w BGB nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde.
Das Gesetz stellt zugleich klar, dass die Aufzeichnung der Nutzung des Zahlungsinstruments einschließlich der Authentifizierung allein nicht notwendigerweise beweist, dass der Kunde die Zahlung autorisiert oder vorsätzlich beziehungsweise grob fahrlässig gehandelt hat. Für Betrug, Vorsatz oder grobe Fahrlässigkeit muss die Bank unterstützende Beweismittel vorlegen.
Gerade bei der aktuellen apoBank-Masche können deshalb unter anderem folgende Fragen entscheidend werden:
- Was wurde in der apoTAN-App tatsächlich angezeigt?
- Waren Betrag und Empfänger-IBAN sichtbar?
- Wurde lediglich eine Geräteaktivierung oder tatsächlich eine Zahlung bestätigt?
- Wurden zuvor Telefonnummer, Geräteverknüpfung oder Überweisungslimit verändert?
- Gab es anschließend einen Anruf eines angeblichen Bankmitarbeiters?
- Welche Warntexte wurden dem Kunden konkret angezeigt?
Wann liegt grobe Fahrlässigkeit vor?
§ 675v Abs. 3 BGB ermöglicht der Bank einen Anspruch auf Ersatz des gesamten Schadens, wenn der Kunde den nicht autorisierten Zahlungsvorgang durch eine vorsätzliche oder grob fahrlässige Verletzung seiner gesetzlichen oder vertraglichen Sicherheitspflichten verursacht hat.
Ob grobe Fahrlässigkeit vorliegt, ist eine Frage des konkreten Einzelfalls. Zu berücksichtigen sind insbesondere die Gestaltung der Täuschung, die dem Kunden bekannten Informationen, der Inhalt von App- oder TAN-Anzeigen, etwaige Warnhinweise, die Zahl und Art der Freigaben sowie das weitere Kommunikationsgeschehen.
Allein der Umstand, dass ein Kunde einen QR-Code gescannt oder zunächst Zugangsdaten eingegeben hat, beantwortet die Frage der groben Fahrlässigkeit für einen späteren Zahlungsvorgang noch nicht.
Starke Kundenauthentifizierung: BGH XI ZR 107/24 und XI ZR 20/24
Nach § 675v Abs. 4 BGB haftet der Zahler grundsätzlich nicht nach § 675v Abs. 1 und 3 BGB, wenn der Zahlungsdienstleister die gesetzlich erforderliche starke Kundenauthentifizierung nicht verlangt hat.
Der BGH hat mit XI ZR 107/24 klargestellt, dass insoweit auf den schädigenden Zahlungsvorgang selbst abzustellen ist. Dass beim bloßen Login keine starke Kundenauthentifizierung verlangt wurde, genügt nicht, wenn für die spätere Überweisung eine starke Kundenauthentifizierung eingesetzt wurde.
Mit Urteil vom 03.03.2026 – XI ZR 20/24 – hat der Bundesgerichtshof außerdem entschieden, dass eine starke Kundenauthentifizierung im manuellen chipTAN-Verfahren nicht voraussetzt, dass im Display des TAN-Generators zusätzlich der ausgeschriebene Name des Zahlungsempfängers erscheint.
BGH, Urteil vom 03.03.2026 – XI ZR 20/24
Ärzte, Apotheker und Praxen: Was gilt beim Geschäftskonto?
Die aktuelle Betrugswelle trifft eine Bank, zu deren Kunden besonders viele Ärzte, Zahnärzte, Apotheker und Angehörige anderer Heilberufe gehören. Für die rechtliche Prüfung ist deshalb wichtig, ob das betroffene Konto als Verbraucherkonto oder als Praxis-, Apotheken- oder sonstiges Geschäftskonto geführt wird.
Bei Zahlungsdienstnutzern, die keine Verbraucher sind, können nach § 675e Abs. 4 BGB bestimmte Regelungen des Zahlungsdiensterechts vertraglich abbedungen oder modifiziert werden. Bei einem Geschäftskonto sind deshalb zusätzlich der konkrete Kontovertrag, die Online-Banking-Bedingungen, Vollmachten und vereinbarte Sicherheitsverfahren zu prüfen.
Welche Beweise sollten Betroffene sichern?
Bei einem bereits eingetretenen Schaden sollten nicht nur Konto und Zugang gesichert, sondern auch die für eine spätere Auseinandersetzung mit der Bank wichtigen Beweismittel erhalten werden. Dazu gehören insbesondere:
- der Originalbrief einschließlich Briefumschlag,
- der QR-Code und die aufgerufene Internetadresse,
- Screenshots der gefälschten Seite,
- Anruflisten und Telefonnummern,
- SMS, E-Mails und Messenger-Nachrichten,
- Kontoauszüge und Buchungsdetails,
- angezeigte Freigabetexte der Banking- oder TAN-App,
- Informationen zu Geräteaktivierungen, Limitänderungen oder Änderungen von Kontaktdaten,
- die gesamte Korrespondenz mit der Bank sowie
- eine möglichst genaue chronologische Darstellung des Ablaufs.
Unbekannte Belastungen sollten gegenüber der Bank ausdrücklich als nicht autorisierte Zahlungsvorgänge beanstandet werden. Auch gesetzliche und gegebenenfalls vertraglich abweichende Anzeige- und Ausschlussfristen sind zu beachten.
Muss die apoBank nach einem Phishing-Schaden zahlen?
Eine generelle Antwort gibt es nicht. Die aktuelle Warnung der apoBank belegt, dass entsprechende Briefe mit QR-Code tatsächlich als Betrugsmasche im Umlauf sind. Daraus folgt aber noch keine automatische zivilrechtliche Haftung der Bank für jeden späteren Kontoschaden.
Bei bereits ausgeführten Zahlungen muss vielmehr rekonstruiert werden, ob die Zahlung autorisiert war, wie sie authentifiziert wurde, welche Sicherheitsmerkmale die Täter erlangt haben, welche Freigaben der Kunde tatsächlich vorgenommen hat und ob die Bank einen Gegenanspruch wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung darlegen und beweisen kann.
Gerade nach der jüngeren BGH-Rechtsprechung sollte eine Ablehnung der Erstattung deshalb nicht allein mit dem Hinweis auf „verwendete TAN“, „korrekte App-Freigabe“ oder „ordnungsgemäße Authentifizierung“ akzeptiert werden, ohne den konkreten technischen Ablauf und die bankseitigen Protokolle zu prüfen.
apoBank-Phishing: Erstattungsanspruch prüfen lassen
SH Rechtsanwälte berät und vertritt Bankkunden bundesweit bei Phishing, Quishing, gefälschten Bankanrufen und nicht autorisierten Online-Banking-Transaktionen.
Bei einem bereits eingetretenen Schaden prüfen wir insbesondere den Anspruch auf Wiedergutschrift nach § 675u BGB, die Frage der Autorisierung, Authentifizierungs- und Freigabeprotokolle sowie einen möglichen Einwand grober Fahrlässigkeit nach § 675v BGB.
Weitere Informationen: Phishing und Online-Banking-Betrug sowie apoBank Phishing 2026: Gefälschte Login-Seiten und nicht autorisierte Zahlungen .
Betroffene können uns Kontoauszüge, das Schreiben mit QR-Code, die Korrespondenz mit der Bank, Screenshots, Anruflisten und eine kurze chronologische Darstellung des Vorgangs zur Prüfung übermitteln.
